PT-2025-12297
CVE-2024-9919
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-23
الوصف من
CVSS 3.1
8.4
عاليةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
parisneo/lollms-webui الإصدار V13
الوصف
يؤدي عدم وجود فحص للمصادقة في نقطة نهاية إلغاء التثبيت إلى تمكين المهاجمين من إجراء عمليات حذف غير مصرح بها للمجلدات. لا تستدعي نقطة نهاية واجهة برمجة التطبيقات (API) ”/uninstall/{app name}“ الدالة
check access() للتحقق من client id، مما يسمح للمهاجمين بحذف المجلدات دون المصادقة المناسبة.التوصيات
بالنسبة إلى parisneo/lollms-webui الإصدار V13، كحل مؤقت، يُنصح بتعطيل نقطة نهاية واجهة برمجة التطبيقات (API)
/uninstall/{app name} حتى يتوفر تصحيح. قم بتقييد الوصول إلى وظيفة إلغاء التثبيت لتقليل مخاطر الاستغلال. تجنب استخدام المعلمة app name في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾